Rapport HijackThis (résolu)

Bonsoir Lord depuis 6hres je suis sur un ordinateur très infecté,j'ai éliminer à date 35 virus dont virtumonde.J'envoie un rapport Hijackthis pourriez vous s.v.p. l'examiner.Il n'y a rien d'urgent je n'en aurai pas besoin avant demain soir.
Merci à l'avance



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:40:20, on 30/07/2008
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\Program Files\HP\Smart Web Printing\hpswp_clipbook.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrateur\Local Settings\Temporary Internet Files\Content.IE5\ORU3L38P\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.ca/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files\HP\Smart Web Printing\hpswp_printenhancer.dll
O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - C:\Program Files\HP\Smart Web Printing\hpswp_framework.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &WinSec Toolbar - {3F5A62E2-51F2-11D3-A075-CC7364CAE42A} - C:\WINDOWS\system32\wscmp.dll (file missing)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - C:\Program Files\HP\Smart Web Printing\hpswp_extensions.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} - C:\Program Files\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {A8F2B9BD-A6A0-486A-9744-18920D898429} - http://www.sibelius.com/download/software/win/InstallScorch.exe
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {DA80E089-4648-43D5-93B4-7F37917084E6} (CacheManager.CacheManagerCtrl) - http://www.candystand.com/assets/activex/virtools/CacheManager.CAB
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: WinFast(R) Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O24 - Desktop Component 0: (no name) - http://www.canoe.com/divertissement/cinema/galeries/2007/07/06/HP34.jpg
O24 - Desktop Component 1: (no name) - http://www.canoe.com/divertissement/cinema/galeries/2007/07/06/HP20.jpg
O24 - Desktop Component 2: (no name) - http://www.canoe.com/divertissement/cinema/galeries/2007/07/06/HP31.jpg
O24 - Desktop Component 3: (no name) - http://www.canoe.com/divertissement/cinema/galeries/2007/07/06/HP35.jpg

--
End of file - 5563 bytes

À éliminer

R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O3 - Toolbar: &WinSec Toolbar - {3F5A62E2-51F2-11D3-A075-CC7364CAE42A} - C:\WINDOWS\system32\wscmp.dll (file missing)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)

Possiblement aussi les lignes 024 dont je ne voie pas l'utilités

Renaud, votre analyse est très bien ! Par précaution j'éliminerais aussi:

O16 - DPF: {DA80E089-4648-43D5-93B4-7F37917084E6} (CacheManager.CacheManagerCtrl) - http://www.candystand.com/assets/activex/virtools/CacheManager.CAB

Et oui, les lignes 024 peuvent-être enlevées.

Note: j'ai pris l'habitude de renommer systématiquement HijackThis pour éviter que certaines bibittes, comme Vundo, le déjoue en cachant des lignes 02 et 020. Comme vous n'avez pas de lignes 020, il serait prudent et conseillé de renommer HJT et de refaire un scan pour voir ?

Merci Lord j'avais oublié de renommer HJT.

Par curiosité, j'ai éléminé les lignes que je croyais prudentes de faire et j'ai 100 %.

Je suis fière de moi. Et tout celà je vous le doit, à vous Lord.

Andrée

:=9=:

Pour information cet ordinateur est maintenant sain

Bravo, plutôt à vous Andée et oui, soyez fière de vous !

Bonsoir.

Petit détail, votre Hijack, est dans un dossier temporaire. Créez un dossier pour y placer HijackThis. Il est important de placer ce fichier dans un dossier qui lui est réservé car ce dossier sera utilisé pour les sauvegardes réalisées par HijackThis. Si vous l'exécutez depuis un fichier compressé, comme un fichier zip, au lieu de le lancer depuis un dossier, les sauvegardes ne seront pas faites.Donc avant de télécharger le logiciel,cliquez droit dans un endroit,vide du bureau,clic sur "nouveau" puis sur "dossier".Quand vous téléchargerez,le logiciel,vous faite enregistré,et placez ce logiciel dans le dossier que vous venez de créer. Aussi les lignes 04, vous avez des choses, qui sont au démarrage de Windows, qui en fait ne font que rallonger le "boot" de votre OS. Et votre Explorer 6, n'est plus très très actuel...

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

Marc pour IE6 ce rapport ne provient pas de mes ordinateurs mais d'un ordinateur qui etait loin d'être à jour,et dont j'ai éliminé 41 virus et autres malwares.La mises à jour est en train de se faire.Il n'y avait même pas de SP2.
Les ordinateurs sur lesquels vous avez déjà du intervenir n'étais surement pas tous à la fine pointe de l'actualité.
Tenez compte aussi qu'il y a des gens qui s'y connaissent très peu en informatique,alors les nouveautées souvent leurs font peur,ils n'y comprennent rien et préfèrent demeurer avec un système qu'il peuvent opérer.

renaud a écrit:

Marc pour IE6 ce rapport ne provient pas de mes ordinateurs mais d'un ordinateur qui etait loin d'être à jour,et dont j'ai éliminé 41 virus et autres malwares.La mises à jour est en train de se faire.Il n'y avait même pas de SP2.
Les ordinateurs sur lesquels vous avez déjà du intervenir n'étais surement pas tous à la fine pointe de l'actualité.
Tenez compte aussi qu'il y a des gens qui s'y connaissent très peu en informatique,alors les nouveautées souvent leurs font peur,ils n'y comprennent rien et préfèrent demeurer avec un système qu'il peuvent opérer.

J'en suis conscient Renaud. Il y même des gens que je connais avec Win 98 Je ne voulais pas choquer personne ici, sauf qu'en installant les m-à-j, l'ordi serait plus "sécure" non? Je présume que vous les avez faites, les m-à-j.... sinon, ça sera à recommencer.

Toutes les mises à jour devraient être faites cette semaine,un problême de connection du à un manque de filtre DSL sur la ligne téléphonique du système d'alarme,ce qui donne une connection internet intermitente, m'empêche de les faire avant d'avoir règlé ce problême